Politique de Confidentialité

Données clients actifs : pendant toute la durée de la relation commerciale, puis 3 ans à compter de la dernière interaction (recommandation CNIL relative à la gestion commerciale).

Données de prospects : 3 ans à compter du dernier contact actif (recommandation CNIL).

Documents comptables et factures : 10 ans à compter de la clôture de l'exercice comptable (Article L123-22 alinéa 2 du Code de commerce).

Données relatives aux commandes : 5 ans à compter de la date de la commande (délai de prescription de droit commun, Article 2224 du Code civil).

Données de paiement : les données de carte bancaire ne sont pas conservées par Digital Service. Elles sont traitées et conservées par Square conformément à la norme PCI DSS, le temps nécessaire à la réalisation de la transaction.

Données de navigation et logs de connexion : 13 mois maximum (recommandation de la CNIL). Les données de connexion (logs) sont conservées 1 an conformément à l'article 6 de la Loi n°2004-575 pour la confiance dans l'économie numérique (LCEN).

Cookies : durée maximale de 13 mois pour les cookies de mesure d'audience, 6 mois pour les cookies de personnalisation (conformément aux lignes directrices de la CNIL du 17 septembre 2020).

Google LLC / Firebase (États-Unis) : transfert encadré par le EU-U.S. Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023, conformément à l'article 45 du RGPD) et par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (Article 46.2.c du RGPD). Google est certifié au titre du EU-U.S. Data Privacy Framework.

Square / Block, Inc. (États-Unis) : transfert encadré par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914 du 4 juin 2021), assorties de mesures supplémentaires de protection conformément aux recommandations du Comité Européen de la Protection des Données (CEPD).

Droit d'accès (Article 15 RGPD) : obtenir la confirmation que des données vous concernant sont ou ne sont pas traitées, ainsi que l'accès auxdites données et aux informations prévues par le RGPD.

Droit de rectification (Article 16 RGPD) : obtenir la rectification de données inexactes ou le complément de données incomplètes vous concernant.

Droit à l'effacement (Article 17 RGPD) : obtenir l'effacement de vos données personnelles lorsqu'elles ne sont plus nécessaires au regard des finalités, lorsque vous retirez votre consentement, ou lorsque le traitement est illicite. Ce droit ne s'applique pas lorsque le traitement est nécessaire au respect d'une obligation légale.

Droit à la portabilité (Article 20 RGPD) : recevoir les données personnelles que vous avez fournies dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable du traitement.

Droit à la limitation du traitement (Article 18 RGPD) : obtenir la limitation du traitement dans les cas prévus par le RGPD (contestation de l'exactitude, traitement illicite, données nécessaires à l'exercice de droits en justice).

Droit d'opposition (Article 21 RGPD) : vous opposer à tout moment au traitement de vos données fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière. En matière de prospection commerciale, vous pouvez vous opposer à tout moment et sans motif.

Droit de retirer votre consentement : lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment, sans que cela ne compromette la licéité du traitement fondé sur le consentement effectué avant son retrait.

Droit de définir des directives post-mortem (Article 85 Loi Informatique et Libertés) : définir des directives relatives à la conservation, à l'effacement et à la communication de vos données personnelles après votre décès.

Chiffrement des communications : l'ensemble des échanges entre votre navigateur et le Site sont protégés par le protocole HTTPS/TLS (certificat SSL), garantissant la confidentialité des données transmises.

Chiffrement des données sensibles : les mots de passe sont stockés sous forme hachée à l'aide d'algorithmes de chiffrement robustes. Les données de paiement sont traitées dans un environnement conforme à la norme PCI DSS par Square.

Contrôle d'accès : l'accès aux données personnelles est strictement limité aux personnes habilitées et nécessitant cet accès dans le cadre de leurs fonctions, via un système d'authentification et de gestion des droits d'accès.

Hébergement sécurisé : les données sont hébergées sur l'infrastructure Google Cloud / Firebase, bénéficiant de certifications de sécurité reconnues (ISO 27001, SOC 2, SOC 3).

Sauvegardes régulières : des sauvegardes automatiques sont réalisées afin de prévenir toute perte de données.

Sensibilisation : les personnes ayant accès aux données personnelles sont sensibilisées aux enjeux de la protection des données et aux bonnes pratiques de sécurité.

Notification à la CNIL (Article 33 RGPD) : notifier la violation à la Commission Nationale de l'Informatique et des Libertés (CNIL) dans un délai maximum de 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.

Notification aux personnes concernées (Article 34 RGPD) : lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, informer les personnes concernées dans les meilleurs délais de la nature de la violation, de ses conséquences probables et des mesures prises pour y remédier.

Documentation : documenter toute violation de données personnelles dans un registre interne, y compris les faits, ses effets et les mesures correctives prises, conformément à l'article 33.5 du RGPD.